يحتاج Nebula إلى ثلاثة ملفات: شهادة CA وشهادة المضيف ومفتاح المضيف

إذا أعطيت أحداً مجلد Nebula فسيانسخ عادةً المجلد كله، بما في ذلك الملف الذي لا ينبغي أن يغادر محطة عملك أبداً. الالتباس مفهوم، لأن الملفات الثلاثة في كتلة PKI الخاصة بالمضيف متشابهة واثنان منها شهادات. كل ملف يجيب عن سؤال مختلف، واثنان فقط منها ينتميان إلى العقدة. رتّبها حسب الدور قبل أن تنسخ أي شيء.

ثلاثة ملفات، ثلاث وظائف مختلفة

شهادة CA هي مرساة الثقة: تخبر المضيف بالجهات التي يثق بها عندما يعرض مضيف آخر هويته. شهادة المضيف هي اعتماد العقدة نفسها، موقّعة من تلك الجهة. مفتاح المضيف هو النصف الخاص المطابق، وهو يخص جهازاً واحداً فقط. العقدة التي لديها شهادة CA وزوجها الخاص يمكنها الانضمام إلى الشبكة وإثبات هويتها. أما العقدة التي تحمل مفتاح شخص آخر فيمكنها أيضاً انتحال هوية ذلك الشخص، وهذا هو الخلل الذي وُجد هذا التصميم لمنعه.

لذلك فإن نسخ مجلد مضيف عامل إلى جهاز آخر ليس اختصاراً. إنه هوية مكررة بنتيجة متوقعة.

مفتاح التوقيع لا ينتقل أبداً

مفتاح توقيع CA ليس جزءاً من أي إعداد مضيف. فهو يصدر هويات جديدة، ومن يحمله يستطيع إنشاء شهادة لأي عنوان في الشبكة ولأي مجموعة. لا يحتاج الأقران إلا شهادة CA العامة للتحقق من التوقيعات، لذا لا دور للنصف الخاص على العميل إطلاقاً. أبقِه على الجهاز الذي تُصدر منه الشهادات، واعتبر أي نسخ غير مقصود حادثاً لا تسهيلاً.

إذا احتاج عدة أشخاص إلى إصدار الشهادات، فأعطهم إجراءً بدلاً من نسخة من المفتاح. مفتاح توقيع مشترك على حاسوب محمول هو سلطة لا يستطيع أحد تدقيقها أو إبطالها.

ما الذي تحتويه شهادة المضيف

شهادة المضيف تربط أكثر من اسم ملف بمفتاح. فهي تحمل عنوان العقدة في الشبكة واسمها وعضويتها في المجموعة، وكلها موقّعة كي يقرر القرين قبولها. لهذا فإن إعادة تسمية مضيف تعني إصدار شهادة جديدة لا تعديل سطر في الإعداد.

nebula-cert print -path host.crt يُظهر ما صدر فعلاً. اقرأه قبل أن تفترض أن الشهادة تحمل العنوان الذي قصدته.

إعادة التحميل لا تكفي دائماً

بعض إعدادات PKI تُعاد تحميلها عند إشارة، وبعضها لا. الشهادة التي تغيّر عنوانها في الشبكة هي الحالة الكلاسيكية التي تحتاج إلى إعادة تشغيل العملية لا إلى إعادة تحميل.

تحقق من المسارات التي فتحتها العملية فعلاً، لا من المسارات التي يذكرها ملف الإعداد فقط. ثم غيّر اعتماداً واحداً، وتأكد من الاتصال والسجلات، وبعد ذلك فقط انتقل إلى التالي. إعادة التحميل التي تبدو ناجحة بينما تبقى الشهادة القديمة في الذاكرة تُنتج اختلافاً يبدو كمشكلة توجيه. إعادة التشغيل رخيصة؛ أما تنقيح هوية لا يزال نصف الشبكة يراها بالطريقة القديمة فليس رخيصاً.

إزالة هوية تتطلب قائمة حظر

استبدال اعتماد مفقود أو مكشوف له جانبان. الشهادة الجديدة تعيد الوصول، والهوية القديمة يجب أن تتوقف عن القبول. هاتان عمليتان منفصلتان، والقيام بالأولى فقط يترك الاعتماد المخترق صالحاً.

قائمة الحظر ملف توزعه على المضيفين، وليست شيئاً يدفعه lighthouse من تلقاء نفسه. خطط لكيفية وصوله إلى كل عقدة، بما فيها العقد غير المتصلة اليوم، وسجّل بصمات المفاتيح التي حظرتها. بدّل المفتاح على جهاز الإصدار واحفظ تفاصيل الشهادة الجديدة مع سجل المضيف. الإبطال الذي يوجد فقط على الجهاز الذي عدّلته ليس إبطالاً.